Unknown APT uses NetamLoader to attack a Win10 OS customized for governments in Asia

Expertos de Kaspersky identificaron una cadena de infección muy sofisticada que utiliza un marco de carga basado en XAML, lo que indica un ataque de cadena de suministro (cuando se compromete un software legítimo para infectar a sus usuarios). Este ataque apunta específicamente a una versión personalizada de Windows 10 utilizada por entidades gubernamentales en Asia.

El malware, denominado NetamLoader, fue detectado inicialmente a través de un archivo de configuración (.config) que utilizaba una técnica de inyección para cargar componentes maliciosos. El ataque aprovechaba herramientas legítimas de gestión de parches, como Patch My PC, para ocultar su presencia y evadir las defensas tradicionales.

La sofisticación del ataque radica en su capacidad para evadir la detección: el malware modifica la memoria del sistema para que las herramientas de seguridad (AMSI) reporten que todo está limpio, incluso cuando hay actividad maliciosa. Además, utiliza procesos legítimos de Windows, como dllhost.exe, para ejecutar sus cargas útiles y separar la infección del proceso original, dificultando el monitoreo de los sistemas de detección y respuesta (EDR).

Qué significa para una pyme colombiana y cucuteña: Aunque este ataque específico apunta a versiones de Windows personalizadas para gobiernos en Asia, la lección para su empresa es la importancia de vigilar la integridad de sus herramientas de gestión de software. Si usted utiliza herramientas de terceros para actualizar sus equipos (como Patch My PC u otras similares), asegúrese de que estén debidamente configuradas y de que su antivirus esté actualizado. No baje la guardia ante procesos que parezcan legítimos pero que generen comportamientos inusuales en el sistema.